一家公司定期将机密数据上传到 Amazon S3 进行分析。安全策略要求对象在静态时加密，加密密钥必须每年自动轮换，密钥轮换必须可在 AWS CloudTrail 中追踪，并且密钥成本必须最小化。哪种解决方案符合这些要求？

SSE-KMS 满足所有要求。它在数据写入 S3 时自动加密，使用 AWS KMS 密钥，这些密钥默认每年自动轮换，并且所有 KMS API 调用都记录在 CloudTrail 中，提供了可追溯性。与客户管理的 KMS 密钥相比，SSE-KMS 成本更低，因为它使用 AWS 默认的 KMS 密钥，无需额外管理。SSE-C 需要客户管理和提供密钥，不满足自动轮换和成本最小化的要求。SSE-S3 使用 AWS 管理的密钥，但这些密钥不会自动轮换，也不提供 CloudTrail 可追溯性。